編者語(yǔ)：你有沒(méi)有為混合型的流氓軟件涌現做好準備？物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò )要是參與加密數字貨幣的挖礦會(huì )怎樣？物聯(lián)網(wǎng)研究機構 IoT Institute 采訪(fǎng)了多位物聯(lián)網(wǎng)安全專(zhuān)家，發(fā)現明年行業(yè)內可能出現的相關(guān)趨勢。在下文中，IoT Institute 探討了這些趨勢，同時(shí)，考慮到人工智能、量子計算、安全和網(wǎng)絡(luò )自動(dòng)化工具等相關(guān)技術(shù)飛速發(fā)展，明年還可能有什么新現象。

1、物聯(lián)網(wǎng)勒索軟件和“綜合性流氓軟件”越來(lái)越普遍

今年，惡意勒索軟件還在繼續“擴大聲勢”。 李嵩是物聯(lián)網(wǎng)安全領(lǐng)域初創(chuàng )公司青天科技的聯(lián)合創(chuàng )始人兼首席技術(shù)官。他預計，雖然大多數傳統勒索軟件還在使用加密技術(shù)將用戶(hù)困在計算平臺之外，但一些黑客可能會(huì )開(kāi)始發(fā)動(dòng)多種多樣的勒索軟件攻擊。李嵩說(shuō)道：“基于物聯(lián)網(wǎng)的勒索軟件攻擊可能集中在竊取數據上，或者是讓目標設備無(wú)法發(fā)揮應有的功能?！?/span>

網(wǎng)絡(luò )攝像機（IP camera）可以從大量地點(diǎn)、多個(gè)位置四處搜尋（比如工廠(chǎng)內部、私人房屋住宅等），捕捉一些用戶(hù)敏感的視頻片段。 李嵩 表示：

“黑客可能會(huì )說(shuō)：‘除非你給我比特幣，否則我會(huì )到處散布這段視頻?！?/span>

還有一種可能是，黑客利用網(wǎng)絡(luò )攝像頭這樣的物聯(lián)網(wǎng)設備，將流量導入一個(gè)攜帶流氓軟件的網(wǎng)址。Ofer Amitai 是軟件解決方案供應商 Portnox 的聯(lián)合創(chuàng )始人兼首席執行官，他指出：“那樣一來(lái)，那種網(wǎng)址可以從訪(fǎng)問(wèn)的端點(diǎn)提取數據，命令軟件勒索用戶(hù)，讓用戶(hù)贖回加密后的數據?！?/span>

黑客還有可能威脅物聯(lián)網(wǎng)廠(chǎng)商，如果不支付贖金，就讓物聯(lián)網(wǎng)的設備失靈，包括一些智能門(mén)鎖或者市內溫控器。當然，我們根本無(wú)法保證黑客在自己的條件得到滿(mǎn)足后說(shuō)話(huà)算話(huà)，放過(guò)受害用戶(hù)。Ofer Amitai 繼續說(shuō)道：

“我們預計，黑客會(huì )用一種勒索軟件攻擊個(gè)人電腦，讓用戶(hù)無(wú)法操縱自己的電腦，最后還會(huì )找回來(lái)，說(shuō)‘我們想要更多數字貨幣?！?/span>

未來(lái)一年，我們可能目睹一系列進(jìn)一步融合多種攻擊的流氓軟件，將 DDoS（分布式拒絕服務(wù)）攻擊、勒索軟件和其他攻擊類(lèi)型集于一身。Peter Tran 是加密技術(shù)公司 RSA 的高級網(wǎng)絡(luò )防御部門(mén)總經(jīng)理兼高級總監，他表示：“我更愿意把它們稱(chēng)作為‘綜合性流氓軟件’，現在這種軟件增長(cháng)速度很快。由于物聯(lián)網(wǎng)設備激增，我們將無(wú)法預測花樣繁多的各式攻擊組合?！?/span>

2、物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò )將目標瞄準加密數字貨幣

最近，加密數字貨幣的市值不斷飆升，隨之而來(lái)的就是加密數字貨幣挖礦業(yè)的激烈競爭。因此，黑客企圖利用這股加密數字貨幣的狂熱撈金趨勢，也再自然不過(guò)了。Amitai 這樣預測表示道：

“很多人相信區塊鏈是不會(huì )被黑客攻破的。但我們已經(jīng)發(fā)現，基于區塊鏈技術(shù)的應用遭到的攻擊數量越來(lái)越多?！边@其中最脆弱的環(huán)節倒不是區塊鏈本身，而是依托這種技術(shù)運行的應用?！埃ê诳停⒏l繁地動(dòng)用社交工程獲取密碼和私人密鑰，從而攻入這些應用?！?/span>

Ankit Anubhav 是青天科技的首席安全研究員，他提到，僅在開(kāi)源加密數字貨幣 Monero上，就已經(jīng)發(fā)現物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò )的挖礦劇增，導致黑客甚至還會(huì )利用視頻攝像頭進(jìn)行比特幣挖礦。

Tran說(shuō)道：

“和傳統的貨幣價(jià)值和波動(dòng)結構一樣，（這么做的）風(fēng)險是通過(guò)物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò )礦工讓公開(kāi)市場(chǎng)充斥（數字貨幣），破壞區塊鏈和數據完整，操縱或是直接搶劫大批加密數字貨幣?！?/span>

3、當我們迎來(lái)了量子計算時(shí)代，軟件供應商也需要更加重視安全問(wèn)題

今年全球軟件企業(yè)的量子計算競賽更趨白熱化。短短幾個(gè)月內，英特爾公司就造出了包含 17 個(gè)量子位的全新芯片，而且已經(jīng)交付測試；微軟公司也詳細展示了用于開(kāi)發(fā)量子程序的新型編程語(yǔ)言；IBM 公司則發(fā)布了50個(gè)量子位的量子電腦原型。Louis Parks是物聯(lián)網(wǎng)安全軟件公司 SecureRF 的首席執行官，他認為，在這些科技進(jìn)步影響下，量子計算可能會(huì )在十年內實(shí)現商業(yè)化，化解量子計算可能存在的安全威脅顯得更為緊迫。

盡管專(zhuān)家們對現實(shí)世界的量子計算看法不一，對它的興趣仍有增無(wú)減。正如美國國家安全局（NSA）所說(shuō)，基于量子計算的網(wǎng)絡(luò )攻擊將淘汰過(guò)去普遍的公開(kāi)密鑰加密，可能令無(wú)數物聯(lián)網(wǎng)產(chǎn)品面對攻擊不堪一擊。李嵩表示，面對量子計算，現代電腦可能變成西方科幻小說(shuō)《銀河系漫游指南》（The Hitchhiker's Guide to the Galaxy）里的那種“袖珍計算器”。

“對一般的電腦來(lái)說(shuō)，解密可能就像不斷換鑰匙嘗試打開(kāi)一把鎖，直到試出對的那把要是為止。而一部量子電腦會(huì )同時(shí)試用多把鑰匙開(kāi)一把鎖，一次性找出哪一把才是能打開(kāi)鎖的鑰匙?！?/span>

“我們認為，2018年會(huì )是一個(gè)重大的轉折點(diǎn)，包括醫學(xué)、汽車(chē)、數據分析和航天在內，遍布多個(gè)行業(yè)的工程師將史上首次面對量子電腦帶來(lái)的挑戰，”P(pán)arks說(shuō)，“如果未來(lái)十年或者更久以后希望立足量子計算領(lǐng)域，那些半導體生產(chǎn)商、物聯(lián)網(wǎng)平臺供應商，以及制造產(chǎn)品的電子產(chǎn)品廠(chǎng)商將在2018年懂得，他們必須控制量子計算產(chǎn)生的安全威脅。他們將優(yōu)先處理面向未來(lái)的產(chǎn)品，因為量子計算革命即將到來(lái)，他們要為相關(guān)的安全挑戰未雨綢繆?！?/span>

李嵩同意量子計算將改變物聯(lián)網(wǎng)安全領(lǐng)域格局的看法。他表示：“那就是說(shuō)，量子計算還有很長(cháng)一段路要走?！碑斍暗募用軝C制可能在一段時(shí)間內仍有效，而即便一部量子電腦能破解數學(xué)家開(kāi)發(fā)的加密程序算法，可能也要花幾年時(shí)間。

用量子電腦武裝的黑客增加可能是即將出現的另一個(gè)趨勢。不過(guò)李嵩認為：“量子計算不僅會(huì )用于攻擊，也會(huì )用于防御?！?/span>

4、很多物聯(lián)網(wǎng)攻擊將無(wú)法探測，不為人知

去年，最臭名昭著(zhù)的物聯(lián)網(wǎng)流氓軟件來(lái)自于僵尸網(wǎng)絡(luò ) Mirai，它造成全球多家大型網(wǎng)站癱瘓。而在今年，最令人難忘的一個(gè)物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò )可能是 Reaper，它又稱(chēng) IoTroop。如果你和不同的人提起它，可能反應全然不同，有人認為它比 Mirai 危險得多，有人卻覺(jué)得它的威脅比 Mirai 小得多。時(shí)間會(huì )證明，Reaper究竟是不是極大的威脅，而明年物聯(lián)網(wǎng)安全的一些重大威脅可能是一些規模很小的網(wǎng)絡(luò )攻擊，它們會(huì )小得讓人難以檢測察覺(jué)。Tran說(shuō)：

“我會(huì )稱(chēng)之為‘微型入侵’，我們會(huì )看到越來(lái)越多這類(lèi)入侵，它攻擊（物聯(lián)網(wǎng)的）弱點(diǎn)，卻規模較小，能逃過(guò)目前安全監控和監測技術(shù)的法網(wǎng)。很多安全工具在網(wǎng)絡(luò )里防范的是一堵堵紅線(xiàn)高墻，可很多物聯(lián)網(wǎng)的弱點(diǎn)就如同一本總賬里財會(huì )計算時(shí)四舍五入的小錯誤。從規模上看，它們不會(huì )引起人們注意，但它們可能非常危險。它們可能順應環(huán)境而變，重新組合，自成規模，攻擊速度遠超基于網(wǎng)絡(luò )且‘聲勢浩大’的傳統攻擊?！?/span>

 李嵩也這么認為。他預計，逃過(guò)監測的小型物聯(lián)網(wǎng)攻擊會(huì )增多。他指出：

“如果黑客的目標是汽車(chē)，不是計算平臺，可能就像在油箱上戳了一個(gè)小洞。汽車(chē)會(huì )漏一小部分油，還算能正常行駛。不利之處在于：你（黑客）仍然在毒害整個(gè)環(huán)境?！?/span>

5、自動(dòng)化將會(huì )登上舞臺中央

當企業(yè)物聯(lián)網(wǎng)的規模明顯擴大，覆蓋到了成千上萬(wàn)臺設備這種級別，可能就難以做好網(wǎng)絡(luò )和收集數據的管理工作。自動(dòng)化和人工智能工具可以推行規則，監測不規律的流量模式，由此可能幫助網(wǎng)絡(luò )管理者和網(wǎng)絡(luò )安全人員處理混亂的局面。Amitai 預計：

“到 2018 年，自動(dòng)化可能占據核心地位，成為首屈一指的安全潮流?？傮w而言這是好消息，因為它能保證更多操作者有足夠安全的處理方式，對物聯(lián)網(wǎng)這類(lèi)固件升級存在困難的模塊設備很有意義?！?/span>

Tran 認為，這種自動(dòng)化得到大范圍應用的行業(yè)前景，其實(shí)蘊藏著(zhù)不少風(fēng)險。即使面對數以百萬(wàn)計的交通、電力、醫療保健等龐大的基礎設施，物聯(lián)網(wǎng)領(lǐng)域的人工智能和基于機器學(xué)習的自動(dòng)化也可能讓自動(dòng)化系統自動(dòng)做有關(guān)它們功能的決定。而且，支持這些系統的電腦程序算法可能還會(huì )存在偏見(jiàn)。

6、黑客將會(huì )定位到更多類(lèi)型的互聯(lián)設備

雷鋒網(wǎng)了解到，去年，大量不安全的 IP 攝像頭為 Mirai 僵尸網(wǎng)絡(luò )提供了可乘之機，事實(shí)上，這是自有黑客歷史記錄以來(lái)規模最大的一次襲擊。不過(guò)，在即將到來(lái)的 2018 年，IP 攝像頭將會(huì )繼續成為一個(gè)重大威脅，因為很多攝像頭的密碼要么是默認的，要么干脆就沒(méi)有設置，而且不少黑客還通過(guò)IP攝像頭為僵尸網(wǎng)絡(luò )竊取到帶寬和算力。

李嵩說(shuō)道：“黑客會(huì )不斷尋求各種方法、利用更多類(lèi)型的設備來(lái)構建僵尸網(wǎng)絡(luò )。比如，他們可能會(huì )利用一些沒(méi)有密碼、或是有弱密碼的網(wǎng)絡(luò )打印機，而在中國，黑客也正在攻擊智能門(mén)鎖設備?！?/span>

7、傳感器攻擊將會(huì )變得無(wú)處不在

實(shí)際上，物聯(lián)網(wǎng)算是傳感器網(wǎng)絡(luò )的一個(gè)衍生產(chǎn)品，因此互聯(lián)網(wǎng)傳感器本身就存在潛在安全漏洞，似乎也是合乎邏輯的。黑客可能會(huì )嘗試向傳感器發(fā)送一些人類(lèi)無(wú)法感知的能量，來(lái)對傳感器設備進(jìn)行攻擊。舉個(gè)例子，黑客能夠將基于超聲波的信號發(fā)送到語(yǔ)音控制系統，或者將紅外信號發(fā)送到攝像頭上。

8、隱私將會(huì )變成物聯(lián)網(wǎng)對話(huà)的重要組成部分

如今，企業(yè)會(huì )越來(lái)越多地安裝物聯(lián)網(wǎng)設備，比如互聯(lián)恒溫器和 HVAC 系統、在會(huì )議室中配置智能電視，互聯(lián)打印機、以及智能照明電燈，等等。與此同時(shí)，工業(yè)物聯(lián)網(wǎng)也在不斷發(fā)展，消費者也對諸如智能揚聲器這樣的互聯(lián)設備產(chǎn)生了濃厚的興趣。雖然目前物聯(lián)網(wǎng)設備的互聯(lián)性有所提高，但是在這種“超連接（hyper-connected）”環(huán)境下產(chǎn)生的隱私分歧等問(wèn)題暫時(shí)還是無(wú)法確定。Don DeLoach是《物聯(lián)網(wǎng)的未來(lái)：利用數字化中心世界的轉型》（The Future of IoT: Leveraging the Shift to a Data Centric World）一書(shū)作者，他表示：“隱私將會(huì )變成房間里的大象?！?/span>

另一方面，大公司對敏感數據的追蹤已經(jīng)引發(fā)了公眾對他們的不信任，DeLoach 繼續說(shuō)道：

“最近在美國的不少知名社交媒體網(wǎng)站上，人們對這些問(wèn)題都進(jìn)行了激烈討論。不過(guò)，真正對這件事情重視起來(lái)的，還是歐盟——他們將會(huì )在明年五月正式生效《通用數據保護法規》。從本質(zhì)上來(lái)說(shuō)，這是為了保護所有個(gè)人信息，違反通用數據保護法規的企業(yè)，可能會(huì )面臨高達企業(yè)年收入4%的罰款?！?/span>

《通用數據保護法規》已經(jīng)引起了美國、以及其他在歐洲開(kāi)展業(yè)務(wù)的跨國企業(yè)關(guān)注。DeLoach解釋說(shuō)：

“不僅如此，絕大多數企業(yè)認為，歐盟推出的《通用數據保護法規》很可能會(huì )成為一個(gè)行業(yè)信號，未來(lái)包括北美在內的其他地區也會(huì )相繼推出類(lèi)似的法案?！?/span>

另一個(gè)引發(fā)業(yè)內關(guān)注的，是 2017 年美國三大征信機構之一的 Equifax 公司的數據泄露事件。這次事件波及到了全球 1.455 億人，很多身份信息（比如姓名、地址、社保號碼）都被泄露了。不過(guò)DeLoach表示，未來(lái)與隱私有關(guān)的討論主題可能會(huì )集中在其他類(lèi)型的信息上，包括 IP 地址、地理位置、網(wǎng)頁(yè)瀏覽記錄、電話(huà)記錄、客戶(hù)忠誠度積分等等。他補充說(shuō)：

“物聯(lián)網(wǎng)數據可能會(huì )被很多匿名信息所充斥。這可能需要更長(cháng)一段時(shí)間才能引起人們重視。不幸的是，對于歐盟和涉案企業(yè)而言，他們的時(shí)間真的不多了。就像金融服務(wù)行業(yè)早期的巴塞爾協(xié)議和 DiFID 等監管要求，《通用數據保護法規》其實(shí)是給我們敲響了警鐘，呼吁各方盡早展開(kāi)對物聯(lián)網(wǎng)隱私問(wèn)題的討論?！?/span>

Tran 也表示，如果 Equifax 公司違規數據泄露事件算是足夠嚴重的話(huà)，那么未來(lái)物聯(lián)網(wǎng)潛在的數據泄露問(wèn)題可能會(huì )更加復雜、也更加嚴重，因為相比于傳統個(gè)人征信數據，物聯(lián)網(wǎng)涉及到個(gè)人身份信息的數量是它的好幾倍。Tran最后說(shuō)道：

“在2018年，我預計有越來(lái)越多的企業(yè)會(huì )使用區塊鏈和數據標記等技術(shù)來(lái)升級目前的個(gè)人身份信息數據結構。請記住，黑客在尋找攻擊目標的時(shí)候，往往會(huì )非常有針對性，比如他們會(huì )關(guān)注數據價(jià)值和數據質(zhì)量，還有數據數量和易訪(fǎng)問(wèn)程度等等。所以，企業(yè)可以‘拿掉’一個(gè)、或多個(gè)關(guān)鍵數據屬性，這樣的話(huà)，這些數據信息對網(wǎng)絡(luò )犯罪分子的價(jià)值可能就沒(méi)有那么高了?！?/span>